CVE-2026-29964HSC MailInspector v5.3.3-7版本中的/tap/tap.php端点存在跨站脚本（XSS）漏洞。由于未能正确中和使用替代或混淆JavaScript语法的用户控制输入，攻击者可诱导受害者访问特制URL，导致在受害者浏览器上下文中执行任意JavaScript代码，进而窃取敏感信息或劫持会话。
该漏洞位于HSC MailInspector v5.3.3-7版本的/tap/tap.php接口。根本原因是应用程序对用户提供的输入参数缺乏严格的净化和输出编码机制。特别是，现有的安全过滤器未能有效识别使用替代语法或混淆技术（如十六进制编码、Unicode转义等）构造的JavaScript payload。当攻击者向该端点注入恶意脚本时，服务器端未能对其进行转义处理，而是直接将其包含在HTTP响应中返回给客户端。由于CVSS向量包含S:C（范围改变），表明该漏洞可能影响其他用户的上下文。攻击者无需认证即可构造恶意URL，利用社会工程学诱导受害者点击。一旦受害者加载页面，嵌入的恶意脚本将在其浏览器会话上下文中运行，导致Cookie窃取、会话劫持、钓鱼攻击或恶意重定向等安全风险。